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CHIFFREMEl^/DECaiZFFREMENT EXECUTE PAR UN CIRCaiT ZNTE6RE 

La presents invention conceme le domaine du chif- 
freraent de donnees numeriques au moyen d'algorithmes destines a 
masquer des donnees d'origine afin de les rendre indetectables 
par un pirate eventuel. L' invention conceme plus particulie- 
5 rement les algorithmes mettant en oeuvre vine meme transformation 
sur differentes parties des donnees a coder. 

Les algorithmes de chif frement/dechif frement auxquels 
s* applique la presente invention sont generalement executes par 
des circuits int^gres, soit au moyen de machines d'etats en 

10 logique cSblSe, soit au moyen de microprocesseurs executant un 
programme en memoir e (ggn6ralement une memoire morte) . De tels 
algorithmes utilisent des cles secretes propres aux circuits 
integres ou a 1 'utilisateur, qui sont exploitees par I'algo- 
rithme pour coder les donnees, 

15 On exemple d'algorithme de chif frement/dechif frement 

auquel s 'applique tout particulierement la presente invention est 
un algorithme connu sous la denomination AEIS (Advanced Encryption 
Standard, FTPS PUB 197) . Get algorithme applique a un mot ou 
code de donnees decoupe en blocs, \me meme transformation plusieurs 

2 0 fois de suite a partir de cl€s de chif frement differentes ou, 
plus pr^cis^ment, de parties d'un mot binaire constituant une 
cle. 
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La figure 1 illustre, par iin organigramme sirrplifie, 
les etapes principales d'un algorithme classique de type AES. On 
se contentera de decrire le chif frement, le dechif frement 
reprenant les transformations inverses. 
5 Cet algorithme chiffre iin mot ou code Sq d'un nombre 

de bits predetermine (generalement , 128 bits) en un autre mot ou 
code de meme taille. Les donnees a chiffrer sont en fait 
constitutes de plusieurs mots ou codes resultant d»un decoupage 
prealable des donnees en mots ayant tous la meme taille. Le 
10 chif frement et le dechif frement reposent sur une cle secrete 
dont la longueur (generalement de 128 a 256 bits) conditionne la 
securite du chif frement. 

En pratique, chaque etape d^un algorithme de type AES 
traite une matrice de quatre lignes et quatre coloimes, repre- 
15 sentant un mot et dont chaque element est un octet ou bloc du 
code de 128 bits trait6. Pour simplifier la description qui va 
suivre, on fera reference, pour chaque 6tape, a xm etat consi- 
dere comme etant une matrice. 

Pour la mise en oeuvre de 1' algorithme de chif frement 

2 0 ou de dechif frement, on commence par produire, a partir de la 

cle secrete sur 128 bits, 11 sous-cles comprenant chacune 
egalement 128 bits. De fagon plus generale, a partir d'une cle 
secrete d'un nombre m de bits, on derive n+1 sous -cle KO, ... 
Ki, — IQi de ra bits chacune. Ces sous-cles sont destinees a 
25 §tre utilisees par 1' algorithme comme cela sera decrit ci-apres 
en relation avec la figure 1. 

On part d'un 6ta.t initial (bloc 1, STATE INIT) Sq du 
code ou mot de donnees a chiffrer. 

Une premiere phase du precede de chiffrement est une 
30 operation (bloc 2, ADDROONDKEY) dite de "blanchiment " qui 
consiste a effectuer une combinaison de type OD-Exclusif (XOR) 
de I'etat initial Sq avec la premiere sous-cle KO. On obtient un 
premier etat interm€diaire S^. 

Une deuxi&ne phase du precede de chiffrement consiste 

3 5 a effectuer plusieurs tours ou cycles d'une meme transformation 
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T faisant intervenir, a chaque tour, I'etat S^.^^ obtenu au tour 
precedent et une sous-cle courante Ki. Le nonibre de tours de la 
transformation T correspond h n-1, c'est-a-dire au nonibre de 
sous-cles derivees, diniinu§ de 2. 
5 Chaque transformation de tour T est constitute de 

quatre operations appliquees successivement . La figure 2 illustre 
plus en detail ces quatre operations sur une matrice 20 de 
quatre lignes et quatre colonnes d' octets binaires a laquelle 
s* applique un algorithme de type AES. 

10 Une premiere etape (bloc 3, SHIFTROWS) consiste a 

operer une rotation sur les trois demieres lignes de la matrice 
20. La premiere ligne 201 de la matrice 20 demeure inchangee. La 
deuxieme ligne 202 subit une rotation d'un octet. La troisieme 
ligne 203 siibit une rotation de deux octets. La quatrieme ligne 

15 204 subit une rotation de trois octets. 

Une dexrxieme etape (bloc 4, SUBBYTES) de la transfor- 
mation de tour T constitue une transformation non lineaire dans 
laquelle chaque octet de la matrice 20' constituant I'etat 
courant est remplace par son image prise dans une table de 

20 substitution (SBOX) . Corame 1' illustre la figure 2, la table de 
substitution SBOX est obtenue par deux transformations succes- 
sives. Une premiere transformation (bloc 41, INV) consiste a inverser 
1' octet considere (1' element de la matrice 20') dans le corps 
fini d'ordre 2^ (pour correspondre a 1' octet), 1' octet 00 consti- 

25 tuant sa propre image. Cette inversion est suivie d'une trans- 
formation affine (bloc 42, APFINE) . 

Des exemples de transformation non- lineaire de substi- 
tution telle cpie celle exposee ci-dessus sont decrits, par exeitple 
dans I'ouvrage "The Design of Rijndael" de Joan Daemen et Vincent 

30 Rijmen, paru aux Editions Springer-Verlag (ISBN 3-540-42580-2) 
et dans la norroe AES (FIPS PUB 197) • 

La troisieme etape (bloc 5, MIXCOLUMNS) de la trans- 
formation de tour T consiste a considerer chaque colonne de la 
matrice 20" issue de 1' etape precedente comme \m polyn6me sur le 
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corps fini d'ordre 2^, et a multiplier chacun de ces polyn6mes 
par ion polynome de combinaison P [X] modulo \m polynome M [X] . 

La quatri^e et demidre §tape de la transfonnation de 
tour T de rang i consiste a appliquer la sous-cle Ki k la 
5 mat rice resultante 20" de I'^tat precedent pour obtenir une 
raatrice 20"', dans laquelle chaque element de la matrice 20" a 
et6 combine par un OU-Exclusif, bit a bit, avec la sous-cl§ Ki 
(bloc 6 , ADDROUNDKEY) . Cette etape 6 est la meme que 1 ' etape 2 
de la premiere phase du chiffrement, mais effectuee avec une 

10 sous-cle differente. 

A I'issu de 1' etape 6, on obtient, pour un tour de 
rang i, un etat 8^=1 (Ki, S^^i) . Les quatre etapes de la 
transformation de tour sont repetees n-1 fois, c'est-a-dire 
qu'apres 1' etape 6, on revient a 1' etape 3 pour re-effectuer ion 

15 tour avec une cle suivante. 

La troisieme phase de I'algorithme de chiffrement (figure 
1) consiste en quelque sorte en un dernier tour, leg^rement 
modifie par rapport a celui illustre par la figure 2. En fait, 
on reproduit les Stapes de la transformation de tour k I'excep- 

20 tion de la troisieme (MIXCDLDMNS) , Cela revient a effectuer succes- 
siveraent des etapes 7, 8 et 9 correspondant aux etapes 3, 4 et 6 
d§crites precedemment avec, corame cle pour 1» etape 9, la demiere 
sous-cle Kn. 

On obtient alors I'etat S^^T* (IQi, S^-i) . Ce r^sultat 
25 est finalement mis en forme (bloc 10, RESULTFORM) pour utili- 
sation ulterieure, 

Une faiblesse connue des implementations sur carte a 
puce des algorithmes de type AES, ou plus generalement des algo- 
rithmes mettant en oeuvre plusieurs tours ou cycles d'une meme 
3 0 transfonnation (T) sur un code decoupe en blocs, est la sensi- 
bilite aux attaques par analyse de la consomonoation en courant du 
circuit executant I'algorithme. Une telle attaque connue sous la 
denomination DPA (Differential Power Analysis) consiste a correler 
la consommation du circuit integre executant 1 ' algorithme avec 
35 les cles secretes utilisees lors du chiffrement ou du dechif- 
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frement. En pratique, a partir d'lxn message a chiffrer et 
d ' hypotheses sur la cle secrete, on €tablit ixne courbe de 
correlation statistique en fonction du teitps entre la consom- 
mation du produit pour le chiffrement du message et ime valeur 
5 intermediaire calculee par le circuit. De telles attaques en 
consommation sont decrites dans la litterature (voir par exenple, 
1» article "Differential Power Analysis" de Paul Kocher, Joshua 
Jaffe et Benjamin Jun, paru en 1999, Conference CRYPTO 99, pages 
388-397, public par Springer-Verlag LNCS 1666) . 

10 Une solution connue, pour rendre les algorithraes plus 

resistants centre des attaques par analyse de la consommation du 
circuit int^gre, consiste k faire intervenir \m nombre aleatoire 
dans 1 ' execution de 1 ' algorithme . Le recours a une valeur alea- 
toire consiste a masquer I'^tat au dibut de 1' algorithme par 

15 cette valeur aleatoire et a retablir le resultat escompte & la 
fin de 1 ' algorithme . 

La figure 3 illustre, de fagon partielle et tres sche- 
matique, une premiere technique connue d ' introduction d'un ncaiibre 
aleatoire Rd dans 1' execution d'\m algorithme de type AES. 

20 Partant d'un etat initial de la raatrice (bloc 11, STATEINIT) , on 
effectue une combinaison de type OU-Exclusif bit a bit (bloc 12, 
+ ) par un nombre aleatoire Rd. Ce nombre est done introduit 
avant I'etape 2 de combinaison avec la premiere sous cle KO. On 
doit ensuite tenir compte de ce nombre aleatoire Rd a certains 

25 stades de 1 ' algorithme . Tout d'abord, lors des etapes 4 et 8 de 
transformation non lineaire (SUBBYTES) , on doit utiliser une 
table de substitution (SBOXj^^) tenant compte du nombre alea- 
toire. Puis, a chaque transformation de tour, aprSs 1' intro- 
duction de la cle courante Ki (etape 6) , on doit ef f ectuer ime 

30 combinaison (bloc 13, +) de type OU-Exclusif avec le nombre Rd. 
De plus, apres 1' etape 13, on cotibine (bloc 15, +) par un OU-Exclusif 
le resultat obtenu avec une grandeur iyiC(SR(Rd)) correspondant a 
1 ' application des fonctions SR de decalage de lignes (SHIFTROWS) 
et MC de melange de colonne (MIXCOLUMNS) au nombre Rd. 
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J^res la demiere transformation , la combinaison 
(bloc 16, +) par un OU-Exclusif du resultat obtenu avec la 
valeur SR{Rd) correspondant & 1 » application du decalage de 
lignes a la valeur Rd permet de retrouver le resultat escompte. 
5 Le recours obligatoire a une table de substitution 

fonction du noinbre aleatoire oblige de recalculer cette table a 
chaque chiffrement ou dechif f rement . Ce recalcul des tables de 
siabstitution, n^cessaire pour obtenir une bonne resistance aux 
attaques DPA, entraine \m besoin de mgmoire important dans le 

10 circuit integre et allonge le temps d' execution de I'algorithme 
par le temps de calcul necessaire. Par exertrple, pour des codes 
(matrices) sur 128 bits, le recalcul d'une table de substitution 
SBOXj^^ pour chaque octet de I'etat requiert 16 tables de 256 
octets, ce qui represente 4 kilo-octets de memoire. Une telle 

15 m§moire est loin d'etre negligeable lorsqu'elle est integr^e, 
par exemple, dans une carte a puce. 

La figure 4 illustre Tone deuxieme solution classique 
pour faire intervenir une valeur aleatoire dans un algorithme de 
chiffrement de type AES. Cette solution est decrite dans 1' article 

20 "An implementation of DES and AES, secure against some attacks" 
De M^L. Akkar et C. Giraud publi€ a la conference CHES 2001 
(Editions Springer-Verlag) • 

Cette solution consiste a remplacer le recours ^ des 
tables de substitution peir des transformations calculees a 

25 chaque tour de 1 ' algorithme . Le resultat est le m§me, en ce sens 
qu'il conduit a une substitution des differents octets de la matrice. 
Ce qui change, c'est la maniere d» obtenir cette substitution. 

Selon cette solution, on utilise deux nombres alea- 
toires Rdl et Rd2 que I'on fait intervenir a differentes etapes 

30 de 1' algorithme. Le premier nombre aleatoire Rdl intervient au 
depart (entre les blocs 1 et 2) et est additionng (combinaison 
de type OU-Exclusif 22) * La deuxieme valeur aleatoire Rd2 est 
introduite dans les transformations de tour qu'il s'agisse des 
n-l transformations identiques T ou de la demiSre transfer- 

35 mation T' . 



7 



Le resultat issu de I'etape 3 ou 7 de decalage de 
ligne est combine par vine multiplication polynomiale 23 a 
coefficients siir le corps fini d'ordre 2 (modulo un polynome 
irreductible) avec la valeur aleatoire Rd2. Puis, la raatrice 
5 resultante obtenue est additionn€e (catibinaison de type OU-Exclusif ) 
a une matrice representant le resultat de 1' operation precedente 
(Si*Rd2) , Cette addition est syrabolisee par un bloc 25 en figure 
4. 

Les deux operations precedentes sont effectuees avant 

10 I'etape 24 de substitution d' octets qui comprend ici essentiel- 
lement deux transformations. Une premiere transformation (bloc 
241, INV) consiste k inverser chaque octet de la matrice resul- 
tante de I'etape 25. Puis, on additionne (OU-Exclusif ) a cette 
matrice inverse (bloc 242, +) , le produit (octet par octet modxilo 

15 un polynome irreductible) de I'etat initial par 1" inverse 
(Rd2"^) de la valeur aleatoire. Le resultat est ensuite multi- 
plie (bloc 243, X) par la valeur aleatoire Rd2. La encore, il 
s'agit d'une multiplication polynomiale. Enfin, la demiere etape 
de la substitution d' octets 24 de la matrice consiste en une 

20 transformation affine 244 (AFPINE) . En sortie de I'etape 24, la 
matrice resultante est soumise a I'etape d' addition de la sous- 
cle correspondante (etape 6 ou 9) . 

Si on est dans vine transformation de tour, I'etape 
suivant I'etape 24 est I'etape 5 (MIXGOLUMNS) . Puis, ^rds I'^t^pe 

25 6, on combine (bloc 26, +) par un OU-Exclusif le resultat obtenu 
avec la valeur Rdl. Le resultat de 1 'addition 26 est combine (bloc 
27), toujours par un OU-Exclusif, avec le resultat (MC(AF(SR(Rdl) ) ) ) 
du traitement polynonial de melange de colonnes (MC) de la trans- 
formation affine AF appliquee au decalage de ligne SR applique a 

3 0 la valeur Rdl. 

Si I'on est dans la demidre transformation T', 
I'etape suivant I'etape 24 est I'etape 9 avec la cle Kh. Enfin, 
on combine (bloc 29, +) par un OU-Exclusif le resultat obtenu 
avec le resultat (AF(SR(Rdl) ) ) de la transformation affine AF 

35 appliquee au decalage de ligne SR appliqu6 a la valeur Rdl. La 
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sortie du bloc 29 foumit I'^tat devant etre mis en forme par 
I'etape 10. 

Une telle solution requiert moins de memoire que la 
premiere solution classique illustree en relation avec la figure 
5 3. Toutefois, elle augmente considerablement le temps 
d' execution de 1 ' algorithme . En effet, a chaque tour de I'algo- 
rithme, 1' operation correspondant a la substitution devient 
complexe et requiert de nombreuses operations modulo un poly- 
n6me. 

10 Le probleme de traitement par un nombre aleatoire 

vient essentiellement du fait que, dans un algorithme du type 
auquel 1' invention s" applique, 1' operation de sxabstitution est 
une operation non lineaire. 

La presente invefition vise k proposer une nouvelle 

15 solution a 1 ' introduction d'au moins xme grandeur aleatoire dans 
un algorithme de chif frement de type AES qui pallie les inconve- 
nient s des solutions connues. Plus generalement , 1' invention 
vise a proposer 1 ' introduction d'au moins une valeur aleatoire 
dans un algorithme faisant subir a un code ou mot d" entree, 

2 0 decoupe en blocs, plusieurs fois la meme transformation (par 

matrice de substitution) avec des cles differentes. 

L* invention vise egalement a proposer une solution qui 
minimise le nombre de fois qu'une table de substitution doit 
§tre calculee et/ou memorisee. 
25 L' invention vise egalement a minimiser le temps de 

calcul necessaire a 1' execution de 1' algorithme suite a 1' intro- 
duction du nombre aleatoire- 

Pour atteindre ces objets et d'autres, la presente 
invention prevoit un precede de chif frement et/ou dechif frement, 

3 0 par un circuit integre, d'un code niaraerique d' entree au moyen 

d'au moins une premiere cl€, consistant : 

a decouper ledit code en plusieurs blocs de donnees de 
m§mes dimensions ; et 

a appliquer auxdits blocs au moins un tour de chif- 
35 frement ou dechif frement consistant a faire subir a chaque bloc 
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au moins une mime transformation non lineaire et ^ combiner 
ulterieurement chaque bloc avec ladite cle, 

les op^randes etant masques, lors de 1' execution du 
procede, au moyen d'au moins un premier norabre al^atoire (Rl) 
5 ayant la taille dudit code et dont tous les blocs ont la mime 
valeur en combinant, par une fonction de type OU-Exclusif, les 
blocs d' entree et de sortie de la transformation non lineaire 
avec ledit nonibre aleatoire. 

Selon un mode de mise en oeuvre de la presente inven- 

10 tion, plusieurs tours de chiffrement sont appliques avec une cle 
differente a chaque tour. 

Selon un mode de mise en oeuvre de la presente inven- 
tion, le code d' entree est combine avec un deuxierae nombre 
aleatoire de meme dimension que ce code- 

15 Selon un mode de mise en oeuvre de la presente inven- 

tion, ladite transformation non lineaire consiste a utiliser line 
table de substitution des blocs du code d' entree, calcul§e avec 
un troisi&ne nombre aleatoire de meme longueur que ledit code et 
dont tous les blocs ont la meme valeur. Selon 1' invention, 

20 ladite table respecte le fait que la transformation d'xan code 
d' entree, prealablement combine par un OU-Exclusif avec- le 
premier nombre aleatoire, correspond au resultat de la combi- 
naison par un OU-Exclusif de ce code d' entree avec ledit troi- 
sieme nombre aleatoire. 

25 Selon un mode de mise en oeuvre de la presente inven- 

tion, le procede est applique a un algorithme de chiffrement de 
type AES. 

Selon un mode de mise en oeuvre de la presente inven- 
tion, ledit premier nombre aleatoire est change a chaque tour de 
3 0 chiffrement. 

Selon un mode de mise en oeuvre de la presente inven- 
tion, ledit deuxieme nombre aleatoire est change a chaque chif- 
frement d'vme nouvelle donnee. 
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Selon Tin mcxie de mise en oeuvre de la presente inven- 
tion, ledit troisidme norabre aleatoire est change k chaque tour 
de chif f rement . 

L' invention prevoit egalement \m circuit integre coitpre- 
5 nant im bloc de chif frement/dechif frement d'une donnee d' entree 
d^coupee en blocs de memes dimensions, ccanportant : 

des moyens de g6n6ration d'au moins un premier norabre 
aleatoire de meme taille que la taille des blocs de la donnee 
d' entree ; et 

10 des moyens de combinaison dudit noiribre aleatoire avec 

chaque bloc, en entree et en sortie d'une transformation non 
lineaire mise en oeuvre par le chif frement/dechif frement • 

Ces objets, caractiristiques et avantages, ainsi que 
d'autres de la presente invention seront exposes en detail dans 

15 la description suivante de modes de mise en oeuvre de reali- 
sation particuliers faite a titre non-limitatif en relation avec 
les figures jointes parmi lesquelles : 

la figure 1 decrite precedemment illustre par un orga- 
nigramme sch^matique, un precede de chif frement classique du 

2 0 type auquel s' applique la presente invention ; 

la figure 2 decrite precedemment illustre les traite- 
raents operes sur un etat matriciel dans une transformation de 
tour du precede de la figure 1 ; 

la figure 3 decrite precedemment represente les etapes 
25 d'un premier precede classique de prise en compte d'un nombre 
aleatoire dans un algorithme de chiffrement du type de celui 
illustre par la figure 1 ; 

la figure 4 decrite precedemment represente une deu- 
xieme solution classique d' introduction de nombres aleatoires 

3 0 dans un algorithme de chiffrement du type de celui represente en 

figure 1 ; 

la figure 5 illustre, par un organigrarame schematique, 
un mode de realisation d'un algorithme de chiffrement selon la 
presente invention ; et 
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la figrore 6 represents, par iin organigramme scheina- 
tique, un mode de raise en oeuvre d'lm precede de dechif frement 
selon la presents invention. 

Pour des raisons de clarte, seules les etapes qui sont 
5 necessaires k la conrpr^hension de 1' invention ont 6te repre- 
sentees aux figures et seront d^crites par la suite. En parti- 
culier, les traitements en amont et en aval de I'algorithme de 
chif frement n'ont pas ete d^tailles et ne font pas I'objet de 
1' invention. De plus, les operations de subdivision de la quan- 

10 tite secrete en plusieurs sous-cles a prendre en compte par 
1 'algorithme, ainsi que la generation des nombres aieatoires 
adaptes n'ont pas ete detainees et sont a la portee de l*homme 
du metier ^ partir des indications qui seront donnees ci-apres. 

Selon 1* invention, on utilise une grandeur aieatoire 

15 ayant la meme taille que I'etat a chiffrer (la matrice) pour les 
transformations traitant plusieurs octets en mSme temps ou qui 
les melangent entre eux, corame c'est le cas pour les transfor- 
mations de type melange de colonnes, introduction de sous-cle et 
decalage de lignes. 

20 Par contre, on n' utilise pas cette grandeur aieatoire 

pour les fonctions non lineaires, telles que celle mise en 
oeuvre pour la substitution d' octets par une table de 
substitution dans le cas considere. Selon 1' invention, on masque 
la table de siibstitution par tone autre valeur aieatoire dont les 

25 octets (ou plus generalement les blocs d'une taille correspon- 
dent a la taille des blocs du code pris en compte dans la table 
de sxabstitution) sont tous identiques. Bien qu'elle soit done 
effectuee qu'au raoyen d'une grandeur aieatoire d'un octet, une 
telle operation de masquage est efficace dans la mesure ou, 

30 grSce au masquage complet des fonctions operant sur la totalite 
du bloc, il n'est pas possible pour un pirate d' exploiter cette 
particularite au travers d'lone fonction de correlation. Selon 
une variante de realisation, on utilise egalement ime valeur 
pseudoaieatoire, liee a cette valeur aieatoire, pour masquer la 

35 table de substitution. 
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La figure 5 repr^sente xin organigrarnme d'un mode de 
mise en oeuvre d'm algorithme de type AES, masque au moyen de 
valeurs aleatoires et/ou pseudoalSatoires selon la presente 
invention, 

5 Dans la description qui suit, on fera reference aux 

tallies de mots binaires en prenant I'exemple d'un algorithme 
AES utilisant une cle de 128 bits et tin decoupage d»\m code 
d' entree de 128 bits sous la forme d'une matrice de quatre 
lignes et de quatre colonnes d' octets. On notera cependant que 

10 tout ce qui sera d^crit par la suite s* applique quel que soit la 
taille des cles et des codes d' entree et de sortie, pourvu que 
les relations eventuelles entre ceux-ci soient respectees. En 
particulier, on notera que la taille des valeurs aleatoires (le 
cas echeant pseudoaleatoires) utilisees pour la table de siibsti- 

15 tution doit correspondre k la taille d'un Element de la matrice, 
alors que la taille de la valeur aleatoire (le cas echeant 
pseudoaliatoire) utilisee pour les transformations lineaires 
doit correspondre a la taille d'un §tat d' entree complet. Par 
definition, on designe par 1' addition, vine coiribinaison de type 

2 0 OU-Exclusif et par la multiplication, une multiplication polyno- 
raiale modulo un polyn6me irreductible . 

En partie gauche de la figure 5 ont ete representees 
les etapes successives de 1' algorithme de chiffrement tandis 
qu'en partie droite de cette figure ont ete indiques les etats 

25 obtenus a 1' issue de chaque etape. 

On part d'un etat initial (bloc 31, STATE INIT) . Get 
etat Sq correspond au code (donnees) a chiffrer par 1' algo- 
rithme . 

La premiere etape 41 consiste a effectuer vine combi- 
30 naison de type OD-Exclusif de I'etat Sq avec une valeur alea- 
toire R dont la taille est la meme que I'etat Sq (par exemple, 
128 bits) . 

Puis, on execute une etape classique 32 d* addition de 
sous-cle (bloc 32, ADDROUNDKEY) par vine combinaison de type 



OU-Exclusif de la premiere sous-cle KO avec le resultat de 
I'etape precedente, L'etat obtenu correspond a I'etat S-j^+R. 

On entre alors dans la deuxieme phase du procede de 
chiffrement consistant a executer n-1 tours d'lme meme trans - 
5 formation T. Cette transformation fait intervenir les etapes du 
procede classique (dans cet exeirple, I'AES) que I'on souhaite 
masquer par au moins une valeur aleatoire . Dans 1 ' exemple 
represente, il s'agit des etapes successives 33 de decalage de 
lignes (SHIFTROWS) , 34 de sxabstitution d' octets (SDBBYTES) au 

10 moyen d'une table de substitution SBOX, 35 de melange de 
colonnes (MIXCOMUMNS) et 36 de coiribinaison de type OU-Exclusif 
(ADDROUNDKEY) avec la sous-cle Ki de rang i. 

Selon 1' invention, entre ces etapes, on introduit deux 
valeurs aleatoires Rl et R2 (le cas icheant, R1=R2) constituees 

15 chacune de suites d* octets de mSme valeur. Le nonibre (par 
exemple, 16) d' octets de chaque valeur correspond au nombre 
d» octets d'un etat traits (par exemple, 128 bits) - 

En sortie de I'etape 33, on obtient ixne matrice ayant 
des lignes decalees a partir de la matrice d'etat combinee §l 

20 la grandeur aleatoire R. En designant par SR la fonction de 
decalage de lignes, on peut ecrire que I'on obtient a I'issu de 
I'etape 33 : SR(Si+R) =:SR(Si) +SR(R) . 

Selon 1' invention, avant d'effectuer la substitution 
de I'etape 34, on combine (bloc 42) I'etat SR(Si)+SR avec xone 

25 valeur de meme taille (R1+SR(R)) correspondant a 1 'application 
du decalage de ligne a la valeur aleatoire R (SR{R)) combinee, 
octet par octet, par un OD-Exclusif avec la valeur aleatoire Rl. 
En d'autres termes, I'etat est masqu^ par une valeur de m§me 
taille dont chaque octet a la m^me valeur aleatoire. 

3 0 On execute alors I'etape 34 de substitution octet par 

octet au moyen de la table de substitution SBOX;^-^^ j^. Cette 
table est, selon 1' invention, fonction de la valeur R2 et est 
liee a la valeur Rl en respectant la relation suivante : 

SB(Si+Rl)=SB0X(Si)+R2, ou SBOX represente la table de 

35 substitution de I'algorithme que I'on souhaite masquer et SB 



d6signe la fonction de substitution d* octets (SUBBYTES) . En 
d'autres termes, on calcule une nouvelle table de substitution 
SB a partir de la table SBOX de 1 ' algorithme que l*on souhaite 
masquer par les valeurs Rl et R2. 
5 Au resultat (SB(SR(Si) )+R2) de I'etape 34 qui correspond 

a un etat masque par la valeur R2 (chaque octet de la mat rice 
est masque par ion octet de raeme valeur) , on applique xme 
combinaison de type OD-Exclusif (bloc 43) avec la combinaison 
OU-Exclusif R2+R (octet par octet) de la valeur sur 128 bits R 

10 et de 1' octet R2. 

Le resultat (SB{SR(Si) )+R) sxabit la transformation 35 
de melange de colonnes de I'algorithrae classique. Tou jours en 
respectant I'algorithme classique, la sous-cle Ki est introduite 
par I'etape 36 de combinaison de type OU-Exclusif avec la 

15 matrice prec§dente. Le resultat MC(SB(SR(Si) ))-i-MC{R)+Ki, ou MC 
designe la fonction de melange de colonnes MIXCOLllMNS, est 
combine (bloc 44) avec ime matrice correspondant a la somme 
(combinaison de type OU-Exclusif) de la grandeur aleatoire R et 
de cette meme grandeur MC(R) ayant subi une transformation de 

2 0 melange de colonnes identique a la transformation 35. 

La transformation cyclique se termine par cette etape 
44 a 1' issue de laquelle, selon le rang i, on revient en etape 
33 pour une nouvelle iteration ou I'on passe a l"§tape 37 de 
d^calage de lignes (SHIFTROWS) de la demiere transfomnation T" . 

25 La encore, 1' invention consiste a intercaler, entre 

certaine e tapes de I'algorithme dont on souhaite masquer 1' exe- 
cution par des valeurs aleatoires, des coiribinaisons logiques des 
matrices traitees par les grandeurs Rl et R2. 

La transformation par matrice de substitution 38 est 

30 identique a celle decrite en relation avec I'etape 34, mais 
encadree par des combinaisons 45 et 46, Ces combinaisons sont 
identiques aux combinaisons 42 et 43 d^crites precedemment, en 
amont et en aval de la transformation 34. 

A 1* issue de l'€tc4)e 46, la matrice dbtenue SB(SR{S^_-|^) )+R 

35 est combinee avec la demiere sous-cle Kn (bloc 39) . Puis, on 
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retablit le resultat escoirpt# (SB(SR(Sn-i) ) +Kn=T' (Sj^_i, Kh) en 
recombinant (bloc 47, +) par un OU-Exclusif la matrice obtenue 
par la premidre grandeur al^atoire R de m^me taille que cette 
matrice. On met alors en forme le resultat de fa?on classique 
5 (bloc 40, RESULTFORM) . 

Un avantage de la presente invention est que les 
quantites Rl et R2 ainsi que la table de substitution SBOX 
peuvent etre recalculees a chaque tour T de la transformation 
cyclique ou k chaque chiffrement ou d^chif frement de la donnee 

10 d' entree par I'algorithme complet. 

Un autre avantage de 1' invention est qu'une memoire 
correspondant au double de la matrice k traiter est suffisante 
pour stocker les nouvelles tables de substitution (I'ancienne et 
la nouvelle) dans la mesure ou celles-ci sont combin^es avec une 

15 valeur al^atoire dont la taille correspond k celle d'vm element ■ 
de la matrice. 

La figure 6 represente, sous forme d ' organigramme 
simplifie, un mode de mise en oeuvre d'un algorithme de dechif- 
frement d'une donnee Sj^ selon 1' invention. 
20 Comme dans 1' algorithme dont on souhaite masquer 

1* execution par les valeurs aleatoires, le dechif f rement reprend 
les etapes inverses a celles du chiffrement a 1' exception des 
etapes d ' introduction des cles ou sous-cles Ki, qui s'effectue 
dans I'ordre inverse. 

2 5 L'etat initial (bloc 51, STATE INIT) correspond ici a 

\m etat chiffri ou crypte (S^) des donnees. 

Comme pour 1* algorithme de chiffrement, on commence 
par combiner (bloc 61) I'etat initial avec une quantite alea- 
toire R ayant la m§me taille que la donnee initiale. Puis, on 

3 0 combine (bloc 52, ADDROUNDKEY) I'etat obtenu Sj^+R avec la sous- 

cle Kn qui correspond a la demiere partie de la cle de 
chiffrement (dans cet exemple, le dernier octet) . L'etat obtenu 
Sj^_l+R est alors soumis a n-1 cycles d'une meme transformation 
de dechiff rement prenant en compte a chaque tour une sous-cl§ Ki 
35 de rang inferieur. 
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Les etapes successives se deduisent des etapes de 
chif frement decrites precedemment : 

- d^calage de lignes inverse (bloc 53, INVSHIFTROWS, 
fonction ISR) correspondant k la transformation inverse 
de celle du bloc 33 ; 

- combinaison de type OU-Exclusif 62 avec la quantite 
aleatoire Rl et la fonction 53 appliquee a la quantite 
aleatoire R {ISR(R)) ; 

- application (bloc 54, INVSUBYTES, fonction ISB) de 
la table de siibstitution INVSB0Xi^-l,r2 inverse k celle 
utilisee lors de I'etape 34 ; 

- combinaison 63 de type OU-Exclusif avec les quantites 
R2 et R ; 

- transformation inverse (bloc 55, INVMIXCOLUMNS , 
fonction IMC) de la transformation dite de melange de 
colonnes 35 ; 

combinaison de type OU-Exclusif (bloc 56, 
ADDRODNDKEY) avec la sous-cle Ki de rang i ; et 

- combinaison 64 de type OD-Exclusif avec la quantite 
aleatoire R et avec le resultat d'une transformation 
55 (IMC) appliquee a cette quantite aleatoire. 

Les etapes 62, 63 et 64 sont identiques aiox Stapes 42, 
43 et 44 executees lors du chif frement. Les 6tapes 52, 53, 54, 
55 et 56 correspondent aux fonctions mises en oeuvre clas- 
siquement pour le d§chif frement de I'algorithme dont on souhaite 
masquer 1' execution. 

A 1' issue du dernier tour de cette transformation 
cyclique, on applique success ivement des etapes 57, 58 et 59, 
inverses aux etapes de chif frement 37, 38 et 39 et correspondant 
aux etapes classiques du precede de dechif frement, en inter- 
calant les memes etapes de combinaison 65, 66 et 67 que lors du 
chif frement . 

On obtient alors la matrice resultat Sq correspondant 
aux donn^es dechif frees. 
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Les quantites aleatoires (ou pseudoaleatoires) R, Rl, 
et R2 utilis^es lors du dechiffrement des donn^es peuvent etre 
differentes de celles utilisees lors du chif frement. De plus, 
coinme lors de 1» execution de 1 ' algorithme de chif frement, ces 
5 quantites aleatoires peuvent etre differentes a chaque tour de 
la transformation cyclique. 

Selon un mode de mise en oeuvre pr^f^re, les quantites 
Rl et R2 sont identiques, 

Selon une variante de realisation, 1' operation du bloc 
10 43 (figure 5) est remplac^e par un Ou-Exclusif avec la quantity 
R2+IMC(R) . L'etape 44 est alors supprimee. De fagon similaire, 
en figure 6, on peut supprimer I'etape 64 en modifiant I'etape 
63 en introduisant R2+MC(R) au lieu de R2+R* 

Bien entendu, la presente invention est susceptible de 
15 diverses variantes et modifications qui apparaitront a I'homme 
de I'art. En particulier, 1' invention qui a ete decrite ci- 
dessus en relation avec 1' algorithme de chif frement de type AES 
pourra etre transposee a tout algorithme de chiffrement dont le 
code d' entree est decoupe en blocs de tailles identiques pour 
20 §tre chiffr§, chaque bloc subissant une meme transformation non 
lineaire • 

De plus, 1' adaptation de 1" invention et des tailles 
des quantites aleatoires aixx tailles des donnees traitees et des 
cles utilisees est a la portee de I'homme du metier. On veillera 
25 a respecter un nombre de sous-cles correspondant aux nombres de 
tours et une taille de quantite aleatoire R correspondant a la 
taille des sous-cles, done des blocs. Par ailleurs, les nombres 
indiques comme aleatoires peuvent etre issus d'un generateur 
pseudoaleatoire . 

3 0 Enfin, 1' invention s' applique quelle cjue soit 

1 'utilisation faite des donnees chif frees. 

Un exemple particulier d' application de 1' invention 
conceme la mise en oeuvre d'un algorithme de chiffrement/ 
dechiffrement de type AES dans une carte ^ puce. 
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REVENDICATIONS 

1. Precede de chiffrement et/ou dechif frement, par im 
circuit integre, d'un code numerique d' entree {Sq, S^) au moyen 
d'au moins une premiere cle (Ki) , consistant : 

a decouper ledit code en plusieurs blocs de donnees de 
5 memes dimensions ; et 

a appliquer auxdits blocs au moins un tour (T) de 
chiffrement ou dechif f rement consistant a faire subir a chaque 
bloc au moins une meme transformation non lineaire (SUBBYTES, 
INVSUBBYTES) et a combiner ulterieurement chaque bloc avec 
10 ladite cli (Ki) , 

caracterise en ce qu*il consiste a masquer les 
operandes lors de 1' execution du proc€d6 au moyen d'au moins un 
premier nombre aleatoire (Rl) ayant la taille dudit code et dont 
tous les blocs ont la m§me valeur en combinant, par une fonction 
15 de type OU-Exclusif, les blocs d* entree et de sortie de la 
transformation non lineaire avec ledit nombre aleatoire. 

2. Proc^di selon la revendication 1, caracteris^ en ce 
qu'il consiste ^ appliquer plusieurs (n-l) tours de chiffrement 
ou dechif f rement avec une cl6 (Ki) differente a chaque tour. 

20 3. Precede selon la revendication 1 ou 2, caract§rise 

en ce qu'il consiste a combiner le code d' entree (Sq, Sj;^) avec 
un deuxieme nombre al€atoire (R) de meme dimension que ce code. 

4, Precede selon I'une quelconque des revendications 1 
k 3, caracteris^ en ce que ladite transformation non lineaire 

25 (SUBBYTES, INVSUBBYTES) consiste a utiliser une table (SB0XjyL^R2) 

svibstitution des blocs du code d* entree, calculee avec un troi- 
sieme nombre aleatoire (R2) de m§me longueur que ledit code et 
dont tous les blocs ont la m§me valeur, ladite table (SBOXj^^^ |^) 
respectant le fait que la transformation d'lm code d' entree, 

3 0 prealablement combine par un OU-Exclusif avec le premier nombre 
aleatoire (Rl) , correspond au resultat de la combinaison par un 
OU-Exclusif de ce code d* entree avec ledit troisieme nombre 
aleatoire . 
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5. Precede selon I'une quelconque des revendications 1 
k 4, caracterisg en ce qu*il est applique a un algorithme de 
chiffrement de type AES. 

6. Precede selon la revendication 1, caracterise en ce 
que ledit premier noiribre aleatoire (Rl) est change a chaque tour 
de chiffrement. 

7. Proc§d6 selon la revendication 3, caracterise en ce 
que ledit deuxiSme noitibre al§atoire (R) est change k chaque 
chiffrement d'une nouvelle donn€e. 

8. Precede selon la revendication 4, caracterise en ce 
que ledit troisieme norribre aleatoire {R2) est change a chaque 
towc de chiffrement. 

9. Circuit integre comprenant un bloc de chiffrement/ 
dechiffrement d»une donn§e d' entree (Sq, S^^) dicoupee en blocs 
de memes dimensions, caractSrisi en ce qu'il comporte 

des moyens de generation d'au moins un premier nombre 
aleatoire (Rl) de meme taille que la taille des blocs de la 
donn§e d' entree ; et 

des moyens de combinaison dudit nombre aleatoire avec 
chaque bloc, en entree et en sortie d'lme transformation non 
lineaire (34, 54) mise en oeuvre par le chiffrement/ 
dechiffrement . 

10. Circuit selon la revendication 8, caracterise en ce 
qu'il comprend des moyens pour la mise en oeuvre du precede 
selon I'Tone quelconque des revendications 1 a 7. 
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